Artículo 12 del Reglamento (UE) 2024/1689 — Mantenimiento de registros. Texto oficial, interpretación práctica, obligaciones clave e implicaciones para el cumplimiento.
Resumen del texto oficial
El Artículo 12 del Reglamento (UE) 2024/1689 establece requisitos obligatorios de mantenimiento de registros para los sistemas de IA de alto riesgo. El artículo se encuentra en el Título III, Capítulo 2, que establece los requisitos técnicos y de gobernanza que los sistemas de IA de alto riesgo deben satisfacer antes de ser comercializados en el mercado de la UE o puestos en servicio.
La obligación fundamental es que los sistemas de IA de alto riesgo deben ser diseñados y desarrollados con capacidades de registro que permitan el registro automático de eventos — comúnmente denominados registros — durante la vida operativa del sistema. Estos registros tienen una doble finalidad: apoyar la vigilancia poscomercialización por parte del proveedor en virtud del Artículo 72, y permitir a las autoridades nacionales competentes ejercer sus funciones de supervisión e investigación.
El Artículo 12(2) especifica que las capacidades de registro deben, como mínimo, registrar el período de cada uso del sistema (fecha y hora de inicio y fin), la base de datos de referencia con la que se han cotejado los datos de entrada cuando corresponda, los datos de entrada que dieron lugar a un determinado resultado o decisión y, en el caso de los sistemas de identificación biométrica, la identidad de las personas físicas implicadas en la verificación de los resultados.
El artículo sitúa la obligación de diseño firmemente en los proveedores. El registro debe estar integrado en el sistema desde su construcción, no añadido retrospectivamente. Esto refleja la filosofía más amplia del Reglamento de diseño desde el principio. Los operadores que despliegan estos sistemas tienen obligaciones complementarias en virtud del Artículo 26 para conservar los registros generados durante su uso del sistema, en la medida en que dichos registros estén bajo su control.
Lo que esto significa en la práctica
Para los proveedores que desarrollan o comercializan sistemas de IA de alto riesgo en el mercado de la UE, el Artículo 12 exige que las decisiones a nivel de ingeniería se tomen durante la fase de diseño, no después del despliegue. El registro debe ser una característica arquitectónica del producto.
Partes afectadas. Cualquier organización que desarrolle, comercialice o ponga en servicio un sistema de IA de alto riesgo tal como se define en el Artículo 6 y el Anexo III está sujeta al Artículo 12. Esto incluye los sistemas utilizados en la selección de personal, la calificación crediticia, la identificación biométrica, la gestión de infraestructuras críticas, la evaluación educativa, la aplicación de la ley, el control fronterizo y la administración de justicia, entre otros. Los operadores — organizaciones que despliegan el sistema de IA de alto riesgo de un proveedor en su propio contexto — tienen obligaciones secundarias de mantener los registros que controlan.
Acciones concretas requeridas. Un proveedor debe implementar un registro automático que capture los puntos de datos requeridos sin intervención manual. Por ejemplo, un proveedor de una herramienta de selección de currículos asistida por IA debe garantizar que el sistema registre cada sesión de contratación, la versión del conjunto de datos utilizado para entrenar o calibrar el modelo, y las entradas (perfiles de candidatos) que generaron cada resultado (clasificación o recomendación). Un operador que despliega esa herramienta debe conservar esos registros y ponerlos a disposición de las autoridades a petición.
Utilidad investigadora. Los registros existen principalmente para permitir el análisis retrospectivo. Si un sistema produce un resultado discriminatorio o causa daño, los reguladores deben poder reconstruir lo que ocurrió. Los registros incompletos, sobrescritos o inaccesibles frustran este propósito y exponen tanto al proveedor como al operador a riesgos de aplicación coercitiva.
Proporcionalidad. El alcance específico de lo que debe registrarse está calibrado al tipo de sistema. Los sistemas biométricos se enfrentan a los requisitos más detallados. Los proveedores deben documentar sus decisiones de diseño de registro en la documentación técnica según lo exigido por el Artículo 11.
Obligaciones clave
- Registro desde el diseño. Los sistemas de IA de alto riesgo deben diseñarse y desarrollarse con capacidades de registro automático de eventos integradas en la arquitectura del sistema antes de su comercialización o despliegue.
- Contenido mínimo del registro. Los registros deben capturar, como mínimo: el período operativo de cada sesión de uso, la base de datos de referencia utilizada para la verificación de entradas cuando corresponda, los datos de entrada que produjeron cada resultado o decisión y, para los sistemas de identificación biométrica, las identidades de las personas físicas que verificaron los resultados.
- Conservación de registros por los operadores. Los operadores deben conservar los registros generados durante su uso de un sistema de IA de alto riesgo durante el período requerido por la legislación aplicable y, como mínimo, durante el tiempo necesario para apoyar la vigilancia poscomercialización y las investigaciones regulatorias.
- Accesibilidad para las autoridades. Los registros deben estar disponibles para las autoridades nacionales competentes a petición para facilitar la supervisión regulatoria, la investigación de incidentes y las actividades de vigilancia del mercado.
- Trazabilidad de los resultados. El sistema de registro debe permitir la reconstrucción de una cadena causal desde una entrada específica hasta un resultado específico, apoyando la rendición de cuentas y el derecho a la explicación cuando corresponda.
- Alineación con la documentación técnica. La arquitectura de registro y su alcance deben describirse en la documentación técnica mantenida en virtud del Artículo 11, garantizando la coherencia entre el sistema tal como está diseñado y el sistema tal como se supervisa.
Relación con otros artículos
El Artículo 12 no puede leerse de forma aislada. Opera como parte de una red de requisitos interconectados en el Título III, Capítulo 2.
El Artículo 9 (Sistema de gestión de riesgos) establece el marco global en el que el registro se integra — los registros generan los datos operativos necesarios para identificar y evaluar los riesgos en el despliegue en el mundo real.
El Artículo 11 (Documentación técnica) exige a los proveedores documentar la arquitectura y las capacidades de registro como parte del expediente técnico más amplio presentado a los organismos notificados o conservado para inspección regulatoria.
El Artículo 17 (Sistema de gestión de la calidad) exige a los proveedores mantener un sistema de gestión de la calidad que integre el registro en controles operativos más amplios y procedimientos de acción correctora.
El Artículo 26 (Obligaciones de los responsables del despliegue) asigna a los operadores la obligación de conservar los registros bajo su control y de cooperar con los proveedores y las autoridades, convirtiendo al Artículo 12 en una responsabilidad compartida en toda la cadena de suministro.
El Artículo 72 (Vigilancia poscomercialización) es el consumidor posterior de los registros del Artículo 12 — el sistema de vigilancia se basa en los registros operativos para detectar la degradación del rendimiento, los resultados inesperados y los riesgos emergentes tras el despliegue.
El Artículo 73 (Notificación de incidentes graves) utiliza los datos de registro como evidencia primaria cuando se exige a los proveedores que notifiquen averías graves o incidentes a las autoridades de vigilancia del mercado.
Calendario de cumplimiento
El Reglamento de IA de la UE (Reglamento 2024/1689) entró en vigor el 1 de agosto de 2024, veinte días después de su publicación en el Diario Oficial de la Unión Europea.
La aplicación del Reglamento es por fases:
- 2 de febrero de 2025 — Las prohibiciones sobre las prácticas de IA de riesgo inaceptable (Título II, Artículo 5) pasaron a ser aplicables.
- 2 de agosto de 2025 — Las normas sobre modelos de IA de uso general (Título VIII) y las obligaciones de gobernanza (Título III, Capítulo 4 sobre organismos notificados; Título VI sobre gobernanza) pasaron a ser aplicables.
- 2 de agosto de 2026 — Las obligaciones para los sistemas de IA de alto riesgo enumerados en el Anexo III comienzan a aplicarse para la mayoría de las categorías. El Artículo 12 se encuentra dentro de esta fase. Los proveedores y operadores de sistemas de IA de alto riesgo deben tener capacidades de registro conformes en vigor para esta fecha.
- 2 de agosto de 2027 — Plazo ampliado para los sistemas de IA de alto riesgo cubiertos por la legislación de armonización sectorial de la Unión existente enumerada en el Anexo I (por ejemplo, maquinaria, dispositivos médicos), otorgando a esos sectores tiempo adicional para adaptar los marcos de evaluación de conformidad existentes.
Las organizaciones que desarrollan sistemas de IA de alto riesgo deben tratar el 2 de agosto de 2026 como el plazo límite de cumplimiento para los requisitos de registro del Artículo 12, con el diseño y las pruebas de la infraestructura de registro completados con suficiente antelación para permitir los procedimientos de evaluación de conformidad en virtud del Artículo 43.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
El Artículo 12 exige que los sistemas de IA de alto riesgo sean diseñados y construidos con capacidades que permitan el registro automático de eventos — registros — durante toda su vida operativa. Estos registros deben permitir la vigilancia poscomercialización y facilitar la investigación de incidentes o averías graves.
La obligación principal recae sobre los proveedores de sistemas de IA de alto riesgo. Los proveedores deben garantizar que la capacidad de registro esté integrada en el sistema desde el diseño, antes de que el sistema se comercialice o se ponga en servicio.
Los registros deben capturar, como mínimo, los eventos pertinentes para identificar riesgos para la salud, la seguridad o los derechos fundamentales durante el uso del sistema. Esto incluye el período de cada uso, la base de datos de referencia con la que se cotejaron los datos de entrada, los datos de entrada que dieron lugar a un determinado resultado, y la identidad de las personas físicas implicadas en la verificación de los resultados.
El Reglamento no especifica un único período de conservación universal en el propio Artículo 12, pero los registros deben conservarse durante el período necesario para cumplir las obligaciones del Reglamento, incluida la vigilancia poscomercialización en virtud del Artículo 72. Las normas sectoriales específicas pueden imponer requisitos adicionales de conservación.
No. El Artículo 12 se aplica específicamente a los sistemas de IA de alto riesgo tal como se definen en el Artículo 6 y se enumeran en el Anexo III del Reglamento (UE) 2024/1689. Los sistemas de IA de uso general y los sistemas de menor riesgo no están sujetos a este artículo a menos que también califiquen como de alto riesgo.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.